FIPS140-2 se ocupa solo de la forma correcta en que un módulo criptográfico debe operar y estar protegido contra ataques. Uno puede ser simplemente compatible con sus módulos, o uno puede ser compatible Y validado con sus módulos. Hay 4 niveles diferentes de cumplimiento, 1 a 4, con un nivel más alto más protector que un nivel más bajo. La validación es una tarea costosa, generalmente realizada por laboratorios de seguridad externos.
FIPS140-2 no habla sobre qué datos necesitan ser cifrados por una aplicación. Varios organismos de estándares, únicos para cada segmento de interés de la industria, establecen los requisitos, procedimientos y procesos de protección y cifrado de datos específicos de esa industria. Por ejemplo, PCI DSS por la industria de tarjetas de crédito, HIPAA por la industria del cuidado de la salud.
Estos organismos pueden o no exigir que un módulo de cifrado sea compatible con FIPS140-2, pero desde luego es una elección prudente, al menos desde el punto de vista de la responsabilidad.
Algunos comentarios relevantes de infosecisland.com:
-
"He hecho las tareas de cumplimiento FIPS 140-2 de primera mano con:
OpenSSL, OpenSSH, Sun Java 6, Apache Tomcat 5.5 y 6.0, Mozilla NSS.
Puedo decirle que ninguno de estos módulos funciona en un modo compatible con FIPS 140-2 de forma predeterminada, convertirlos en un modo compatible con FIPS 140-2 no es trivial, y operar en un modo compatible con FIPS 140-2 no siempre es una buena idea por razones de compatibilidad. "
-
"Permítame aclarar los casos de negocios que alguien querrá invertir en el tiempo y los gastos necesarios para lograr la validación FIPS 140-2, no solo el cumplimiento:
Cuando quiera vender cualquier cosa que sea criptográficamente relevante para el DoD o cualquier grupo de trabajo gubernamental que busque en el DoD las especificaciones de seguridad. Estos no serán sus clientes empresariales típicos, sino entidades gubernamentales específicas que requieren la garantía de integridad criptográfica que proporciona FIPS 140-2 ".
Entonces, si no tiene un módulo crytographic en su aplicación, FIPS140-2 no es relevante para usted. Si encripta algunas partes de su programa, como datos o un protocolo de comunicaciones, ya sea porque es lo correcto o lo requieren los organismos de estándares, los requisitos del cliente o las regulaciones, y debe cumplir con FIPS140-2 , esa rutina / módulo de cifrado debe cumplir con las especificaciones de FIPS o incluso estar completamente validada.